Microsoft Defender XDRには、高度で影響の大きい攻撃から環境を保護できる強力な自動攻撃中断機能が含まれています。
Microsoft Defender XDRで自動攻撃中断機能を構成します。 始める前に、ライセンス、許可、製品固有のセットアップ要件の 前提 条件を確認しましょう。 すべての設定が完了したら、インシデントとアクション センターで包含アクションを表示および管理できます。 また、必要に応じて、自動攻撃の中断設定を変更できます。
Microsoft Defender for Endpointが導入されると、自動攻撃妨害によって管理されていないデバイスやユーザーが含まれたり、侵害されたワークステーションをネットワークから自動的に隔離したりできます。 自動デバイス隔離機能は現在プレビュー中です。 各応答アクションの詳細については、「 自動応答アクション」を参照してください。
前提条件
Microsoft Defenderで自動攻撃の中断を構成するための前提条件を次に示します。
| 要件 | 詳細 |
|---|---|
| サブスクリプションの要件 | 次のいずれかのサブスクリプション:
「Microsoft Defender XDR ライセンス要件」を参照してください。 |
| デプロイ要件 |
|
| アクセス許可 | 自動攻撃中断機能を構成するには、Microsoft Entra ID (https://portal.azure.com) またはMicrosoft 365 管理センター (https://admin.microsoft.com) のいずれかで、次のいずれかのロールが割り当てられている必要があります。
|
Microsoft Defender for Endpointの前提条件
自動攻撃の中断をサポートするには、Microsoft Defender for Endpointには、デバイス グループの最小の Sense クライアント バージョンと適切な自動化設定が必要です。
自動デバイス隔離の前提条件と安全対策(プレビュー)
自動デバイス分離は、Microsoft Defender for Endpointによってオンボードおよび管理されているエンド ユーザー ワークステーションでのみ機能します。 アイソレーションはほとんどのネットワークトラフィックをブロックしつつ、必要なDefender for Endpointセキュリティサービスへの接続を維持します。 このアクションはインシデントに関与したデバイスに限定され、定められた時間枠が過ぎると自動的に取り消されます。 セキュリティオペレーターは装置を早く解放することができます。
隔離されたデバイスが特定のプロセスや宛先にアクセスする必要がある場合は、 選択的分離除外を設定してください。 自動攻撃妨害によって特定のデバイスが隔離されるのを防ぐために、 自動攻撃妨害除外を設定してください。
Sense クライアントの最小バージョン (MDE クライアント)
Senseエージェントは、各デバイスで動作するMicrosoft Defender for Endpointのセンサーコンポーネントです。 Contain User アクションが動作するために必要な最低限のSense Agentバージョンはv10.8470です。 以下のPowerShellコマンドを実行することで、デバイス上のSense Agentのバージョンを特定できます。
Microsoft Defender for Endpointがインストールされていることとインストール経路を特定するために、レジストリを照会してください:
Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\' -Name "InstallLocation"
または、レジストリからMsSense DLLバージョンを読み込んでインストール済みセンサーのバージョンを確認するには、以下のコマンドを実行してください。
Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection\Status' -Name "MsSenseDllVersion"
組織のデバイスの自動化設定
デバイス グループ ポリシーの自動化設定を確認して、自動調査を実行するかどうか、および修復アクションが自動的に実行されるか、承認後にのみ実行されるかを判断します。 次の手順を実行するには、グローバル管理者またはセキュリティ管理者である必要があります。
Microsoft Defender ポータルに移動し、サインインします。
アクセス許可 の >>>デバイス グループ に移動します。
デバイス グループ ポリシーを確認し、[ 修復レベル ] 列を確認します。 [完全] - 脅威を自動的に修復 することをお勧めします。
デバイス グループを作成または編集して、グループごとに適切な修復レベルを設定することもできます。 半自動化レベルを選択すると、手動による承認を必要とせずに自動攻撃の中断をトリガーできます。 デバイス グループを自動封じ込めの対象から除外するには、自動化レベルを 自動応答なし に設定できます。 この設定は強くお勧めしません。これは、限られた数のデバイスに対してのみ行う必要があります。
注:
攻撃の中断は、デバイスのMicrosoft Defenderウイルス対策の動作状態に関係なく、デバイスに対して機能する可能性があります。 Microsoft Defender ウイルス対策の動作状態は、アクティブ、パッシブ、または EDR ブロック モードにすることができます。
Microsoft Defender for Identity の前提条件
自動攻撃の中断をサポートするには、Microsoft Defender for Identityドメイン コントローラーの監査と適切に構成されたアクション アカウントが必要です。
ドメイン コントローラーで監査を設定する
ドメイン コントローラーで監査を設定するには、「Windows イベント ログの監査ポリシーを構成する」を参照してください。 ID センサーのDefenderが展開されているドメイン コントローラーで、必要な監査イベントが構成されていることを確認します。
アクション アカウントを検証する
Defender for Identity を使用すると、ID が侵害されたときにオンプレミスの Active Directoryアカウントを対象とする修復アクションを実行できます。 これらのアクションを実行するには、Defender for Identity に必要なアクセス許可が必要です。 既定では、Defender for Identity センサーはドメイン コントローラーの LocalSystem アカウントを偽装し、アクションを実行します。 この既定の LocalSystem アカウントのなりすましは変更できるため、Defender for Identity に必要な権限があること、または既定の LocalSystem アカウントを使用していることを確認してください。
アクション アカウントの詳細については、Microsoft Defender for Identity のアクション アカウントを構成するを参照してください。
Active Directory アカウントをオフにするドメイン コントローラーに Defender for Identity センサーを展開する必要があります。
注:
ユーザーをアクティブ化またはブロックするための自動化がある場合は、自動化が中断を妨げる可能性があるかどうかをチェックします。 たとえば、すべてのアクティブな従業員がアカウントを有効にしていることを定期的に確認して強制する自動化が実施されている場合、攻撃の検出中に攻撃の中断によって非アクティブ化されたアカウントが誤ってアクティブ化される可能性があります。
Microsoft Defender for Cloud Appsの前提条件
自動攻撃の中断をサポートするには、Microsoft Defender for Cloud Appsに適切に構成された Microsoft Office 365 コネクタが必要です。
Microsoft Office 365 コネクタ
Microsoft Defender for Cloud Appsコネクタを介してMicrosoft Office 365に接続する必要があります。 Defender for Cloud Appsに接続するには、「Microsoft 365 をMicrosoft Defender for Cloud Appsに接続する」を参照してください。
Important
機能の完全な機能を確保するには、Microsoft 365 コネクタを適切に構成する必要があります。 Defender for Cloud AppsでMicrosoft 365コネクタを設定する際、すべてのチェックボックスを選択し、Microsoft Entra IDアプリを有効にするオプションも含まれます。 必要なすべてのオプションを選択しないと、次の結果になる可能性があります。
- 機能の一部または機能低下
- 重要なアクション (アプリ ガバナンスや中断フローなど) を実行できない
- 操作エラーの可能性の増加
Microsoft Defender for Office 365 の前提条件
自動攻撃の中断をサポートするために、Microsoft Defender for Office 365には、Exchange Onlineおよび特定のメールボックス監査ログ イベントでホストされているメールボックスが必要です。
メールボックスの場所
メールボックスは、Exchange Onlineでホストする必要があります。
メールボックス監査ログ
少なくとも、MailItemsAccessed、UpdateInboxRules、MoveToDeletedItems、SoftDelete、HardDelete の各メールボックス イベントを監査します。
メールボックス監査の管理については、メールボックス監査の管理を参照してください。
外部プラットフォームのMicrosoft Sentinel前提条件 (プレビュー)
okta と AWS の攻撃中断アクションを有効にするには、Microsoft Sentinel分析ワークスペースを統合セキュリティオペレーション ポータルに接続する必要があります。
- Okta の統合とセットアップの手順については、「Microsoft Sentinelを使用して Okta で攻撃中断アクションを有効にする」を参照してください。
- AWS の統合とセットアップの手順については、「Microsoft Sentinelを使用して AWS で攻撃中断アクションを有効にする」を参照してください。